OS Login でセキュリティキーを有効にする

このドキュメントでは、Google アカウントに登録されている物理的なセキュリティキーを使用して、OS Login を使用する仮想マシン（VM）インスタンスに接続する方法について説明します。

物理的なセキュリティキーを使用して、VM に接続するための SSH 秘密鍵ファイルを生成します。Google Cloud コンソールのブラウザでの SSH ツールまたは Google Cloud CLI を使用している場合、セキュリティキーを使用して VM に接続すると、OS Login はセキュリティキーに関連付けられている秘密 SSH 認証鍵ファイルを取得し、SSH 認証鍵ファイルを構成します。サードパーティツールを使用して接続する場合は、OS Login API を使用して SSH 認証鍵情報を取得し、SSH 認証鍵ファイルをご自身で構成する必要があります。

準備

Google アカウントにセキュリティキーを追加します。
OS Login を設定します。
まだ設定していない場合は、認証を設定します。認証とは、Google Cloud サービスと API にアクセスするために ID を確認するプロセスです。ローカル開発環境からコードまたはサンプルを実行するには、次のように Compute Engine に対する認証を行います。

Select the tab for how you plan to use the samples on this page:
Console

When you use the Google Cloud console to access Google Cloud services and APIs, you don't need to set up authentication.
gcloud
1. Install the Google Cloud CLI, then initialize it by running the following command:
  gcloud init
  Note: If you installed the gcloud CLI previously, make sure you have the latest version by running gcloud components update.
2. Set a default region and zone.

制限事項

セキュリティキーが有効にされている VM は、Google アカウントに登録されている物理的なセキュリティキーにアタッチされている SSH 認証鍵からの接続のみを受け入れます。
Cloud Shell を使用して、セキュリティキーが有効になっている VM に接続することはできません。
接続先の VM と接続元のワークステーションの両方で、セキュリティキーの SSH タイプをサポートする OpenSSH 8.2 以降のバージョンを使用する必要があります。次の Compute Engine VM オペレーティングシステムはセキュリティキーをサポートしています。
- Debian 11（またはそれ以降）
- SUSE Linux Enterprise Server（SLES）15（またはそれ以降）
- Ubuntu 20.04 LTS（またはそれ以降）
- Container-Optimized OS 93 LTS（またはそれ以降）
- Rocky Linux 9（またはそれ以降）
ご使用の環境がセキュリティキーをサポートしているかどうかを確認するには、次のコマンドを実行します。
```
ssh -Q key | grep ^sk-
```
コマンドから出力が返されない場合、ご使用の環境はセキュリティキーをサポートしていません。
接続元のワークステーションの SSH クライアントは、セキュリティキーをサポートし、必要なライブラリ（libfido2 など）を含める必要があります。

OS Login でセキュリティキーを有効にする

プロジェクトで OS Login を使用するすべての VM または単一の VM に対してセキュリティキーの使用を有効にできます。

OS Login が有効になっているプロジェクト内のすべての VM のセキュリティキーを有効にする

プロジェクト内の OS Login を使用するすべての VM でセキュリティキーを有効にするには、Google Cloud コンソールまたは gcloud CLI を使用します。

コンソール

OS Login が有効になっているすべての VM のセキュリティキーを有効にするには、Google Cloud コンソールを使用して、プロジェクトのメタデータで enable-oslogin と enable-oslogin-sk を TRUE に設定します。

[メタデータ] ページに移動します。

[メタデータ] に移動
[編集] をクリックします。
[項目を追加] をクリックします。
1. [キー] フィールドに「enable-oslogin」と入力します。
2. [値] に「TRUE」と入力します。
[項目を追加] をクリックします。
1. [キー] フィールドに「enable-oslogin-sk」と入力します。
2. [値] に「TRUE」と入力します。
[保存] をクリックします。

gcloud

OS Login が有効になっているすべての VM のセキュリティキーを有効にするには、gcloud compute project-info add-metadata コマンドを使用してプロジェクトのメタデータで enable-oslogin=TRUE と enable-oslogin-sk=TRUE を設定します。

gcloud compute project-info add-metadata \
    --metadata enable-oslogin=TRUE,enable-oslogin-sk=TRUE

OS Login が有効になっている単一の VM でセキュリティキーを有効にする

OS Login を使用する 1 つの VM でセキュリティキーを有効にするには、Google Cloud コンソールまたは gcloud CLI を使用します。

コンソール

単一の VM でセキュリティキーを有効にするには、Google Cloud コンソールを使用して、インスタンスのメタデータで enable-oslogin と enable-oslogin-sk を TRUE に設定します。

[VM インスタンス] ページに移動します。

[VM インスタンス] に移動
セキュリティキーを有効にする VM の名前をクリックします。
[編集] をクリックします。
[カスタムメタデータ] セクションで [項目を追加] をクリックします。
1. [キー] フィールドに「enable-oslogin」と入力します。
2. [値] に「TRUE」と入力します。
[項目を追加] をクリックします。
1. [キー] フィールドに「enable-oslogin-sk」と入力します。
2. [値] に「TRUE」と入力します。
[保存] をクリックします。

gcloud

1 つの VM でセキュリティキーを有効にするには、gcloud compute instances add-metadata コマンドを使用して、インスタンスメタデータに enable-oslogin=TRUE と enable-oslogin-sk=TRUE を設定します。

gcloud compute instances add-metadata VM_NAME \
    --metadata enable-oslogin=TRUE,enable-oslogin-sk=TRUE

VM_NAME は実際の VM 名に置き換えます。

セキュリティキーを使用して VM に接続する

セキュリティキーを使用する VM に接続するには、Google Cloud コンソール、gcloud CLI、またはサードパーティツールを使用します。Google Cloud コンソールまたは gcloud CLI を使用して VM に接続すると、Compute Engine によって SSH 認証鍵が自動的に構成されます。サードパーティのツールを使用して VM に接続する場合は、構成を自分で行う必要があります。

コンソール

Google Cloud コンソールのブラウザでの SSH ツールを使用して VM に接続すると、ブラウザでの SSH がセキュリティキーに関連付けられた秘密鍵を取得します。

セキュリティキーが有効になっている VM に接続するには、次の操作を行います。

Google Cloud コンソールで [VM インスタンス] ページに移動します。
VM のリストで、接続する VM の行にある [SSH] をクリックします。
メッセージが表示されたら、セキュリティキーをタッチします。

gcloud

gcloud CLI を使用して VM に接続すると、gcloud CLI によってセキュリティキーに関連付けられた秘密鍵が取得され、秘密鍵ファイルが構成されます。この構成は永続的なもので、セキュリティキーを使用するすべての VM に適用されます。

gcloud beta compute ssh コマンドを使用して、セキュリティキーが有効化されている VM に接続します。

gcloud beta compute ssh VM_NAME

サードパーティ製ツール

セキュリティキーが有効になっている VM に接続する前に、セキュリティキーに関連付けられている秘密鍵を取得し、秘密鍵ファイルを構成する必要があります。この例では、Python クライアントライブラリを使用して構成を行います。

この構成は、VM に初めて接続するときだけ行う必要があります。この構成は永続的なもので、プロジェクトのセキュリティキーを使用するすべての VM に適用されます。

ワークステーションのターミナルから、次のようにします。

まだ Python 用の Google クライアントライブラリをインストールしていない場合は、次のコマンドを実行してインストールします。
```
pip3 install google-api-python-client
```

次のサンプル Python スクリプトを保存します。このスクリプトでは、セキュリティキーに関連付けられた秘密鍵を取得し、秘密鍵ファイルを構成して VM に接続します。

import argparse
import os
import subprocess
from typing import Optional

import googleapiclient.discovery


def write_ssh_key_files(security_keys: list[dict], directory: str) -> list[str]:
    """
    Store the SSH key files.

    Saves the SSH keys into files inside specified directory. Using the naming
    template of `google_sk_{i}`.

    Args:
        security_keys: list of dictionaries representing security keys retrieved
            from the OSLogin API.
        directory: path to directory in which the security keys will be stored.

    Returns:
        List of paths to the saved keys.
    """
    key_files = []
    for index, key in enumerate(security_keys):
        key_file = os.path.join(directory, f"google_sk_{index}")
        with open(key_file, "w") as f:
            f.write(key.get("privateKey"))
            os.chmod(key_file, 0o600)
            key_files.append(key_file)
    return key_files


def ssh_command(key_files: list[str], username: str, ip_address: str) -> list[str]:
    """
    Construct the SSH command for a given IP address and key files.

    Args:
        key_files: SSH keys to be used for authentication.
        username: username used to authenticate.
        ip_address: the IP address or hostname of the remote system.

    Returns:
        SSH command as a list of strings.
    """
    command = ["ssh"]
    for key_file in key_files:
        command.extend(["-i", key_file])
    command.append(f"{username}@{ip_address}")
    return command


def main(
    user_key: str, ip_address: str, dryrun: bool, directory: Optional[str] = None
) -> None:
    """
    Configure SSH key files and print SSH command.

    Args:
        user_key: name of the user you want to authenticate as. Usually an email address.
        ip_address: the IP address of the machine you want to connect to.
        dryrun: bool flag to do dry run, without connecting to the remote machine.
        directory: the directory to store SSH private keys.
    """
    directory = directory or os.path.join(os.path.expanduser("~"), ".ssh")

    # Create the OS Login API object.
    oslogin = googleapiclient.discovery.build("oslogin", "v1beta")

    # Retrieve security keys and OS Login username from a user's Google account.
    profile = (
        oslogin.users()
        .getLoginProfile(name=f"users/{user_key}", view="SECURITY_KEY")
        .execute()
    )

    if "posixAccounts" not in profile:
        print("You don't have a POSIX account configured.")
        print("Please make sure that you have enabled OS Login for your VM.")
        return

    username = profile.get("posixAccounts")[0].get("username")

    # Write the SSH private key files.
    security_keys = profile.get("securityKeys")

    if security_keys is None:
        print(
            "The account you are using to authenticate does not have any security keys assigned to it."
        )
        print(
            "Please check your Application Default Credentials "
            "(https://cloud.google.com/docs/authentication/application-default-credentials)."
        )
        print(
            "More info about using security keys: https://cloud.google.com/compute/docs/oslogin/security-keys"
        )
        return

    key_files = write_ssh_key_files(security_keys, directory)

    # Compose the SSH command.
    command = ssh_command(key_files, username, ip_address)

    if dryrun:
        # Print the SSH command.
        print(" ".join(command))
    else:
        # Connect to the IP address over SSH.
        subprocess.call(command)


if __name__ == "__main__":
    parser = argparse.ArgumentParser(
        description=__doc__, formatter_class=argparse.RawDescriptionHelpFormatter
    )
    parser.add_argument("--user_key", help="Your primary email address.")
    parser.add_argument(
        "--ip_address", help="The external IP address of the VM you want to connect to."
    )
    parser.add_argument("--directory", help="The directory to store SSH private keys.")
    parser.add_argument(
        "--dryrun",
        dest="dryrun",
        default=False,
        action="store_true",
        help="Turn off dryrun mode to execute the SSH command",
    )
    args = parser.parse_args()

    main(args.user_key, args.ip_address, args.dryrun, args.directory)

スクリプトを実行して鍵を構成し、必要に応じて VM に接続します。
```
python3 SCRIPT_NAME.py --user_key=USER_KEY --ip_address=IP_ADDRESS [--dryrun]
```
次のように置き換えます。
- SCRIPT_NAME: 構成スクリプトの名前。
- USER_KEY: メインのメールアドレス。
- IP_ADDRESS: 接続先の VM の外部 IP アドレス。
- [--dryrun]: （省略可）--dryrun フラグを追加して、VM に接続せずに接続コマンドを出力します。このフラグを指定しない場合は、スクリプトは接続コマンドを実行します。

次のステップ

2 段階認証プロセスを使用して OS Login を設定する方法を学習する。
組織で OS Login を管理する方法を確認する。

OS Login でセキュリティ キーを有効にする

準備

Console

gcloud

REST

制限事項

OS Login でセキュリティ キーを有効にする

OS Login が有効になっているプロジェクト内のすべての VM のセキュリティ キーを有効にする

コンソール

gcloud

OS Login が有効になっている単一の VM でセキュリティ キーを有効にする

コンソール

gcloud

セキュリティ キーを使用して VM に接続する

コンソール

gcloud

サードパーティ製ツール

次のステップ

OS Login でセキュリティキーを有効にする

OS Login でセキュリティキーを有効にする

OS Login が有効になっているプロジェクト内のすべての VM のセキュリティキーを有効にする

OS Login が有効になっている単一の VM でセキュリティキーを有効にする

セキュリティキーを使用して VM に接続する